WORDPRESS SECURITY

PHPの特殊なセッション設定で遠隔コード実行の可能性（CVE-2026-115560）｜修正版は未公開

High

「PHP」の脆弱性情報（CVE-2026-115560）。影響バージョンは公式は影響するPHPバージョンの範囲を未公表。構成でsession.serialize_handlerがphp_binaryまたはphp_serialize、実行時にini_set()でphpへ変更してからsession_start()し、session.upload_progress.enabled=1の環境に限る。。修正版未提供（PHP公式は次回通常バグ修正リリースで対処予定、対象バージョン未公表）への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年10月29日

対象製品: PHP（PHP実行環境）
CVE: CVE-2026-115560
CVSS / 深刻度: — / High
影響バージョン: 公式は影響するPHPバージョンの範囲を未公表。構成でsession.serialize_handlerがphp_binaryまたはphp_serialize、実行時にini_set()でphpへ変更してからsession_start()し、session.upload_progress.enabled=1の環境に限る。
修正版: 未提供（PHP公式は次回通常バグ修正リリースで対処予定、対象バージョン未公表）
脆弱性種別: 条件付きの遠隔コード実行（RCE）につながるセッション処理上の問題

脆弱性の概要

PHP公式が2026年10月23日に、まれな設定の組み合わせで遠隔コード実行につながる可能性を告知しました。10月21日のPHP2Shellの2件とは別のCVEで、緊急パッチはなく、次回通常リリースで修正予定です。PHP公式は成立条件が珍しく悪用可能性は低いと説明。公式CVSSと重大度は未公表であり、ここでのhighはコード実行の潜在的影響に基づく監視上の暫定区分で、全WordPressサイトを危険とするものではありません。

技術的な内容

PHPの設定でsession.serialize_handlerをphp_binaryまたはphp_serializeにし、アプリがsession_start()前にini_set()でphpへ切り替え、さらにsession.upload_progress.enabledが有効な場合にのみ問題となります。通常のセッション設定を動的変更しないWordPress環境は、この記載された経路の対象外です。正確な影響バージョン、CVSS、CWEは公式未公表。現時点でこのCVEを悪用した実攻撃は確認できません。PHP2Shell修正済みの8.2.35/8.3.36/8.4.27/8.5.12で本件も修正済みという意味ではありません。

悪用状況

実攻撃は未確認

推奨対応

まずPHP2Shellの修正版適用を維持し、サイト独自コードや利用ライブラリ、php.iniおよびFPMプール設定でsession.serialize_handlerの設定・動的変更有無を確認してください。条件に該当するか不明な場合は保守担当が調査してください。該当環境ではPHP公式に従い、php.iniやPHP-FPMプール等でsession.upload_progress.enabled=0を設定しワーカー再起動後に実稼働設定を確認。アップロード進捗のセッション連携機能が停止する可能性があるため使用機能も確認します。次の通常修正版の公開を追跡し、適用後に再評価してください。この設定だけではPHP2Shellの2件を完全に防げません。

情報源

情報確認日時：2026年10月24日 00:46

掲載情報は確認時点で公開されている開発元公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。